Eine ungepatchte Sicherheitsl\u00fccke in Adobe Acrobat Reader wird seit Monaten f\u00fcr gezielte Angriffe auf die russische \u00d6l- und Gasindustrie genutzt. Die Schwachstelle erm\u00f6glicht Datendiebstahl \u00fcber manipulierte PDF-Dateien.<\/p>\n
Eine schwerwiegende Sicherheitsl\u00fccke in Adobe Acrobat Reader wird seit Monaten gezielt gegen die russische \u00d6l- und Gasindustrie eingesetzt. Die ungepatchte Zero-Day-Schwachstelle erlaubt Angreifern den Diebstahl sensibler Systemdaten \u00fcber manipulierte PDF-Dateien.<\/p>\n
Gezielte Angriffe mit perfiden PDF-Dokumenten<\/p>\n
Die Entdeckung der Schwachstelle, die seit Ende 2025 aktiv ausgenutzt wird, machte der Sicherheitsforscher Haifei Li Anfang April 2026 \u00f6ffentlich. Sein Exploit-Monitoring-System EXPMON<\/strong> identifizierte eine bis dahin unbekannte Angriffsroute, die selbst die aktuellste Version von Adobe Acrobat Reader umgeht. Der Angriff zielt spezifisch auf Unternehmen der russischen Energiebranche ab.<\/p>\n Anzeige<\/p>\n W\u00e4hrend professionelle Hacker gezielt Schwachstellen in B\u00fcro-Software ausnutzen, r\u00fccken auch mobile Ger\u00e4te immer st\u00e4rker in den Fokus von Cyberkriminellen. Ein kostenloser PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Ihr Android-Smartphone sofort sicherer vor Malware und Datenmissbrauch wird. 5 sofort umsetzbare Schutzma\u00dfnahmen entdecken<\/a><\/strong><\/p>\n Die Angreifer nutzen professionell gestaltete PDF-Dokumente mit russischsprachigen Inhalten als K\u00f6der. Dateinamen wie \u201eRechnung540.pdf\u201c oder \u201eNotfallbericht\u201c sollen Mitarbeiter in Zielorganisationen zum \u00d6ffnen verleiten. Sobald das Dokument ge\u00f6ffnet wird, startet automatisch ein stark verschleierter JavaScript-Code \u2013 ohne weitere Benutzerinteraktion.<\/p>\n Technischer Kern: Missbrauch privilegierter Schnittstellen<\/p>\n Die Schwachstelle liegt in der Verarbeitung von JavaScript innerhalb von PDF-Dateien. Der Exploit missbraucht spezielle Adobe Acrobat-APIs<\/strong>, die normalerweise f\u00fcr allgemeine Nutzung gesperrt sind. Konkret nutzt er die Funktionen util.readFileIntoStream und RSS.addFeed, um unautorisierten Zugriff auf das lokale Dateisystem zu erlangen.<\/p>\n Das Skript f\u00fchrt zun\u00e4chst ein umfassendes System-Fingerprinting<\/strong> durch. Es sammelt Betriebssystemversion, Spracheinstellungen und lokale Dateipfade. Diese Daten sendet es an Server der Angreifer, darunter die IP-Adressen 169.40.2.68 und 188.214.34.20. Diese Informationssammlung dient vermutlich als Vorstufe f\u00fcr folgenschwerere Aktionen.<\/p>\n Analysten bef\u00fcrchten, dass die Infrastruktur darauf ausgelegt ist, bei passenden Zielsystemen weitere Schadsoftware nachzuladen. Dies k\u00f6nnte zu Remote-Code-Ausf\u00fchrung<\/strong> oder sogar zum Ausbruch aus der Sandbox f\u00fchren \u2013 und den Angreifern die vollst\u00e4ndige Kontrolle \u00fcber kompromittierte Rechner verschaffen.<\/p>\n Anzeige<\/p>\n